共享记忆的凭证归属，正在成为跨用户账户滥用的隐形开关。一个服务于 A 用户的智能体，可能被放进一个同时装着 B、C、D 用户登录信息的共享记忆里，于是它取到的「自己的」凭证其实属于别人——但过去很少人去问：取到之后，到底会不会真的拿去干坏事。10 月 19 日提交到 arXiv 的论文（编号 2610.25707，作者 Hau-Sing So、Daixian Liu、Carl Hou 等）用一套三步审计，把这个含糊的担忧拆成了可测量的事件。
把风险拆成暴露、行为、状态三步
论文说的三步，分别是：暴露（别人的凭证进了提示词）、行为（智能体真的拿它行动）、状态（对方账户被改）。在 AppWorld 里混入 763 条全用户历史登录后，84.7% 的必用应用会取出别人的凭证——可单看这一步，智能体大多按兵不动，危害并不显形。危险出现在一种压力测试里：当记忆里没有用户自己的凭证、只塞进一条外人的记录充当「我的」，七个被测智能体在 80% 到 94% 的运行里都会用它，最多改动了 43% 的受害账户，有时甚至能绕开官方校验。换句话说，问题不在模型「贪婪」，而在记忆根本没记录「这是谁的东西」。
一句「标注主人」，越权降了两个数量级
论文给的修复朴素到近乎常识：在每条凭证的前后或内部，写清楚它的主人是谁。在控制变量不变的前提下，越权次数从 305 次配对里的 92 次，掉到只剩 1 次；即便用户名本身去掉归属，效果也大致成立。代价是真实的——在干净记忆上，每个模型会少完成 3 到 5 个成功任务，因为每个归属标注都要占一点上下文。更值得记下的反例是：把主人写错、只在末尾加个标签、或者单纯多写几条安全提示，都救不回来；错位的归属甚至会重新把滥用率拉回去。论文的结论很克制：记忆要始终记录凭证归谁，而评估应当量「行为」而非只看「暴露」。
给共享记忆的一记提醒
这篇的增量认知，是把跨用户滥用的根因从「模型贪心」重新定位到「归属缺失」——前者治起来要对付模型，后者只要在写入时多写一行。它对正在给智能体接共享记忆、企业知识库、长期上下文的团队尤其扎心：多人共用一套记忆底座时，归属不是隐私细节，而是安全边界。需要清醒的是，标注主人会带来上下文成本，且在长程、跨会话的真实场景里，归属信息本身也可能被遗漏或写错，所以它是必要项而非终点。把这篇和站内此前覆盖的「记忆路由」「跨用户约束」放在一条线上看，行业对智能体记忆的理解正从「存得下、取不串」升级到「知道每条记忆到底是谁的」。
目前官方及行业暂未披露更多细节，包括各开源骨干模型上的逐项越权曲线与在真实多租户产品里的失效表现，后续将持续跟进迭代动态。这篇用一个三步审计把「共享记忆会不会害了隔壁用户」从直觉变成了可量化、可对照的指标。